การตรวจสอบความพยายามในการเข้าสู่ระบบใน Active Directory ด้วย PowerShell

ตัวควบคุมโดเมนตรวจสอบความพยายามเข้าสู่ระบบที่สำเร็จตามค่าเริ่มต้น กิจกรรมทั้งหมดของความพยายามเข้าสู่ระบบทั้งหมดจะถูกบันทึกไว้ใน Event Viewer ในบทความนี้ ฉันจะกล่าวถึงวิธีการตรวจสอบเหตุการณ์การเข้าสู่ระบบทั้งหมดด้วย PowerShell มาดำดิ่งกัน

มันเกี่ยวกับอะไร?

การเข้าสู่ระบบที่สำเร็จจะถูกบันทึกด้วย ID 4624 ความพยายามที่ล้มเหลวจะถูกบันทึกด้วย ID 4771 นอกจากนี้ เราควรระบุชื่อผู้ใช้ด้วย

ตัวอย่างโค้ดสำหรับการเข้าสู่ระบบที่สำเร็จและล้มเหลว

การเข้าสู่ระบบสำเร็จ - 4624

รหัสต่อไปนี้แสดงการเข้าสู่ระบบสำเร็จทั้งหมดของชื่อผู้ใช้ f.bizeps (Franz Bizeps) ?

Get-EventLog -LogName Security -InstanceId 4624 | 
Where-Object Message -match "f.bizeps" | 
Format-Table TimeGenerated,Message -AutoSize -Wrap

แม่นยำยิ่งขึ้นอีกเล็กน้อย คุณสามารถใช้ Select-Object เพื่อแสดงเฉพาะการเข้าสู่ระบบครั้งล่าสุด

Get-EventLog -LogName Security -InstanceId 4624 | 
Where-Object Message -match "f.bizeps" | 
Select-Object -First 1 |
Format-Table TimeGenerated,Message -AutoSize -Wrap

การเข้าสู่ระบบล้มเหลว - 4771

โปรดทราบว่าการเข้าสู่ระบบที่ล้มเหลวไม่ได้เปิดใช้งานตามค่าเริ่มต้น ต้องเปิดใช้งานการตั้งค่านี้ในนโยบายตัวควบคุมโดเมนเริ่มต้น

สำหรับการแสดงการเข้าสู่ระบบที่ล้มเหลวทั้งหมดของผู้ใช้ f.bizeps ให้รันคำสั่งด้านล่าง

Get-EventLog -LogName Security -InstanceId 4771 | 
Where-Object Message -match "f.bizeps" | 
Format-Table TimeGenerated,Message -AutoSize -Wrap

หวังว่านี่จะเป็นประโยชน์!